Cumplimiento OWASP

Las fallas criptográficas ahora se clasifican en la posición n. ° 2 desde el n. ° 3 en la lista anterior OWASP Top 10. Esta vulnerabilidad solía conocerse como "Exposición de datos confidenciales". El nuevo nombre se enfoca en la causa raíz del problema en lugar de un síntoma más amplio como el término anterior.

¿Qué son las fallas criptográficas?

Las fallas criptográficas a menudo conducen a violaciones de datos. Los ejemplos de vectores de amenazas incluyen cosas como la falta de encabezados HTTP, algoritmos criptográficos débiles, transmisión de datos en texto claro, etc. Los datos violados pueden incluir todo, desde contraseñas simples hasta registros de salud y números de tarjetas de crédito.

¿Cuál es el impacto de las fallas criptográficas?

Las fallas criptográficas a menudo pueden causar violaciones de datos confidenciales, así como otros tipos de compromisos del sistema. Las violaciones notables en la memoria reciente incluyen la violación de datos de la Cruz Roja de enero de 2022.

El objetivo es hacer que sean extremadamente difíciles de ocurrir en primer lugar. Esto requiere un diseño adecuado, código seguro, pruebas consistentes y seguridad de integración en su flujo de trabajo.

Ahora en la tercera posición, esta categoría incluye secuencias de comandos entre sitios, que anteriormente ocupaba el puesto número 7 en el Top 10 de OWASP.

¿Qué son los problemas de inyección?

Una inyección es cuando un atacante envía datos específicamente diseñados para obligar a la aplicación a ejecutar comandos que no debe ejecutar. Por ejemplo, una inyección SQL puede potencialmente extraer datos inesperados, incluso una base de datos completa, o incluso alterar o eliminar datos.

¿Cuál es el impacto de los problemas de inyección?

Durante muchos años, este fue el problema número 1 según OWASP. Sigue siendo importante y demasiado común. De hecho, entre las aplicaciones probadas, OWASP encontró 274,000 casos de inyección. Sin embargo, los problemas de inyección también son altamente prevenibles.

Evitar los ataques de inyección significa observar de cerca lo que pudo haber hecho mal. Esto va desde no validar los datos proporcionados por el usuario hasta datos hostiles utilizados dentro de los parámetros de búsqueda de mapeo relacional de objetos (ORM) que permiten la extracción de registros confidenciales.

Los tipos más grandes de ataques de inyección a tener en cuenta incluyen:

1. CWE-79: Secuencias de comandos entre sitios
2. CWE-89: Inyección SQL
3. CWE-73: Control externo de nombre de archivo o ruta

Esta nueva categoría se centra en los riesgos inherentes a los defectos de diseño. OWASP desarrolló esta categoría como resultado de la metodología de cambio a la izquierda que requiere incorporar pruebas de seguridad y modelado de amenazas en los flujos de trabajo y la arquitectura. Más allá de comenzar las pruebas de seguridad antes, es importante examinar el código. Marque todo lo que no se pueda asegurar bien a favor de un diseño más seguro.

¿Qué es el diseño inseguro?

El diseño inseguro implica que los equipos de desarrollo y pruebas no anticipen las amenazas mientras desarrollan el código. La evaluación de amenazas y el cumplimiento de las mejores prácticas de seguridad también afectan la seguridad del diseño. Esta categoría es diferente de la implementación insegura en que tiene más que ver con los riesgos relacionados con los defectos de diseño y arquitectura.

Una implementación segura puede tener un diseño inseguro que aún hace que una aplicación web sea vulnerable a ataques y vulnerabilidades. El diseño inseguro es una categoría amplia que representa diferentes debilidades expresadas como diseño de control faltante o ineficaz.

¿Cuál es el impacto del diseño inseguro?

En el mundo del desarrollo actual, el diseño inseguro es más común de lo que piensa. Es por eso que DevSecOps, incorporar la seguridad en el ciclo de vida del desarrollo, es crucial ahora. En otras palabras, no puede simplemente probar su forma de proteger el software. Tienes que empezar a crear software que sea más seguro.

Estos son algunos ejemplos de escenarios de ataque que aprovechan el diseño inseguro.

• Mensajes de error detallados que conducen a la ruta transversal.
• Una implementación segura puede tener un diseño inseguro que hace que una aplicación web sea vulnerable a ataques y vulnerabilidades.
• Un diseño inseguro impidió que los usuarios de PC y los jugadores compraran nuevas GPU Nvidia a los precios minoristas recomendados en un incidente reciente del mundo real.

Ahora en la posición n.º 5 desde el n.º 6 en el Top 10 anterior, la mala configuración de seguridad incluye entidades externas XML (XEE). La naturaleza cada vez más configurable del software contribuyó al lugar de esta categoría en esta lista. Un ejemplo notable de una configuración incorrecta reciente fue la interrupción del NOTAM de la FAA de 2023, prueba de cuán crítico es el problema.

¿Qué es la mala configuración de seguridad?

Esta categoría incluye la implementación insegura debido a algún tipo de configuración incorrecta. Piense en ello como cuando una configuración de seguridad vital está configurada incorrectamente o no está configurada en absoluto. Un ejemplo simple de esto es no restablecer la contraseña predeterminada. Estos descuidos y errores crean brechas de seguridad para los posibles atacantes, especialmente con la implementación basada en contenedores que tiene muchas oportunidades de configuración incorrecta.

¿Qué tan común es la mala configuración de seguridad?

Ejemplos de mala configuración de seguridad son cosas como software desactualizado, refuerzo de seguridad faltante, funciones innecesarias y cuentas predeterminadas con contraseñas sin cambios. Muchas cosas pueden pasarse por alto fácilmente, por lo que OWASP recomienda un proceso de configuración de seguridad repetible para mitigar el riesgo. ¿Cómo se ve eso? Siempre que sea posible, los archivos de configuración deben formar parte del control de versiones e incluirse en las revisiones por pares.

Esta categoría solía llamarse "Uso de componentes con vulnerabilidades conocidas" en el noveno lugar en el OWASP Top 10 anterior. OWASP admite que esto es difícil de probar sin vulnerabilidades y exposiciones comunes (CVE), incluidos los CWE. Sin embargo, ocupó el segundo lugar en la encuesta de la comunidad OWASP gracias a los grandes incidentes que aparecen con frecuencia en las noticias, como los relacionados con Log4j y SolarWinds.

¿Qué son los componentes vulnerables y obsoletos?

El uso de componentes que no conoce o componentes con dependencias anidadas puede generar riesgos. Otros ejemplos incluyen software no compatible, vulnerable o desactualizado, como bibliotecas de terceros, versiones antiguas de fuentes abiertas, etc.

Escanear periódicamente en busca de vulnerabilidades, eliminar funciones no utilizadas o innecesarias y mantener el software actualizado puede ayudar a mitigar los riesgos asociados con los componentes vulnerables y obsoletos.

¿Cuál es el impacto de los componentes vulnerables y obsoletos?

Hay muchas herramientas y ataques que aprovechan estos problemas conocidos. Asegurarse de estar actualizado con parches y versiones lo ayuda a proteger la aplicación contra estos ataques.

Como ejemplo, Log4j sufrió una vulnerabilidad de día cero que afectó a Cloudflare, Steam, iCloud, Twitter, Tencent QQ y la edición Java de Minecraft en 2021.

Conocida anteriormente como "Autenticación rota", esta categoría cae al séptimo desde la segunda posición en el Top 7 anterior. También incluye CWE más estrechamente relacionados con fallas de identificación. Los riesgos de seguridad asociados con esta categoría se mitigan mediante la adopción de un marco estandarizado que ayuda a controlar mejor los problemas de identificación/autenticación.

¿Qué son las fallas de identificación y autenticación?

Las fallas básicas de identificación y autenticación ocurren cuando una aplicación no identifica o asegura correctamente la credencial de inicio de sesión, la identidad o los permisos de un usuario, o no mantiene los controles de ID durante la sesión de un usuario. Las vulnerabilidades ocurren cuando un sistema usa texto sin formato o credenciales con hash débil, tiene métodos de recuperación de credenciales débiles o no invalida las ID de sesión, por ejemplo.

¿Cuál es el impacto de las fallas de identificación y autenticación?

Dado que esta categoría incluye actividades comunes de los usuarios, como iniciar sesión en aplicaciones y sesiones de usuarios en sitios web, estos riesgos suelen encontrarse entre los más comunes. Una táctica conocida como "relleno de credenciales" hace uso de este tipo de ataques para aprovechar las contraseñas obtenidas en filtraciones.

Funciones como la autenticación de múltiples factores y verificaciones de contraseñas más sólidas pueden ayudar a mitigar el riesgo.

Esta nueva categoría se centra en las suposiciones sobre el código y la infraestructura realizadas en relación con los datos críticos, las actualizaciones de software y las canalizaciones de CI/CD que no verifican la integridad. Incluye el tema de 2017 "Deserialización insegura".

¿Qué son las fallas de integridad de software y datos?

Las fallas en la integridad del software y los datos incluyen problemas como partes inseguras de una canalización de CI/CD o incluso redes de entrega de contenido (CDN). Por ejemplo, una aplicación puede incluir una función de actualización automática que cambia el código. Esto presenta oportunidades para que los atacantes obtengan acceso no autorizado y usen su propio código malicioso.

¿Cuál es el impacto de las fallas en la integridad del software y los datos?

Debido a que estos problemas involucran infraestructura y código sin protección contra violaciones de integridad, los expertos en seguridad esperan un aumento en este tipo de violaciones. Elementos como enrutadores domésticos y firmware de dispositivos no requieren firmware firmado para actualizarse. Esta vulnerabilidad requeriría correcciones en una versión futura.

La deserialización insegura también es una preocupación importante. Es una oportunidad común para los ataques DoS. Ocurre cuando un sitio web deserializa los datos controlables por el usuario. La deserialización insegura puede permitir que un atacante manipule objetos serializados para pasar datos dañinos al código de la aplicación.

Las fallas de registro y monitoreo de seguridad solían llamarse "Registro y monitoreo insuficientes" y también aparecían con frecuencia en la encuesta de la comunidad OWASP. Aunque es difícil probarlo, este tipo de fallas pueden afectar drásticamente una variedad de aspectos, como análisis forense, alertas de incidentes y visibilidad.

El registro ayuda a desencadenar el monitoreo y la respuesta; si es incorrecto, la postura de seguridad se desmorona. La visibilidad ayuda a los equipos de desarrollo a abordar mejor los problemas antes.

¿Qué son las fallas de registro y monitoreo de seguridad?

Este tipo de falla implica no identificar y/o responder a posibles amenazas o intentos hostiles contra los sistemas. Un ejemplo clásico y frecuente de esto son los repetidos errores de inicio de sesión debido a una contraseña incorrecta.

Las fallas de registro y monitoreo de seguridad pueden tener un impacto significativo en una organización, incluida la falta de visibilidad de los incidentes de seguridad. Sin un registro y monitoreo adecuados, puede ser difícil detectar y responder a los incidentes de seguridad de manera oportuna.

Muchas regulaciones, como HIPAA y PCI-DSS, requieren que las organizaciones mantengan registros detallados de sus actividades de seguridad. El no hacerlo puede resultar en incumplimiento y multas. Además, sin los mecanismos adecuados de registro y monitoreo, es significativamente más difícil para las organizaciones detectar y mitigar las infracciones, lo que les cuesta tiempo y dinero.

Las fallas de registro y monitoreo de seguridad también pueden generar otros problemas. En particular, pueden activar el control de acceso roto, el elemento n. ° 1 en la lista OWASP Top 2021 de 10. El establecimiento de estrategias sólidas y completas de SAST y DAST puede ayudar a mitigar estas fallas.

¿Cuál es el impacto de las fallas de registro y monitoreo de seguridad?

Si bien las fallas de registro y monitoreo de seguridad ocurren por derecho propio, también pueden generar otros problemas. En particular, pueden activar el control de acceso roto, el elemento n. ° 1 en la lista OWASP Top 2021 de 10. Establecer estrategias sólidas de SAST y DAST puede ayudar a mitigar estas fallas.

A pesar de la baja tasa de incidentes en los datos de OWASP, la gravedad del impacto es alta. Las encuestas comunitarias muestran que es el elemento de preocupación número 1. Este tipo de ataques son fáciles de ejecutar con éxito y pueden producir efectos particularmente desagradables.

¿Qué es la falsificación de solicitudes del lado del servidor?

Estas fallas ocurren comúnmente cuando las aplicaciones web recuperan recursos remotos, pero no validan las URL proporcionadas por el usuario. Luego, los atacantes pueden obligar a la aplicación a comportarse de manera diferente, incluso cuando está protegida por una VPN o un firewall.

Un ejemplo de esto sería que un atacante creara su propia página web alojada en su propio servidor y la usara para alterar el comportamiento de una aplicación. De hecho, muchos enrutadores de consumo más antiguos tienen exactamente este problema: puede cambiar la contraseña sin autenticación creando su propia página web y enviando una nueva contraseña.

OWASP y los desarrolladores han visto un aumento en la falsificación de solicitudes del lado del servidor debido a lo siguiente:

• Aumento de la tasa de obtención de URL
• Adopción más amplia de servicios en la nube
• Complejidad de la arquitectura